Критическая уязвимость Apache HTTP Server в модуле HTTP/2 позволяет неаутентифицированному атакующему выполнить код на сервере. Под риск попали версии Apache HTTP Server с 2.4.55 по 2.4.70; для российских команд это вполне прикладная история: публичный веб-сервер может стать точкой входа в инфраструктуру ещё до того, как в сети появится готовый эксплойт.
Проблема получила идентификатор CVE-2026-119618. Как сообщает BleepingComputer, её обнаружили команды Anthropic OSS Scanner и Google Cloud Vulnerability Research. Apache Software Foundation уже выпустила исправление, однако доступных из интернета уязвимых инсталляций по-прежнему много.
Ошибка находится в mod_http2, который отвечает за поддержку HTTP/2. В функции assign_headers() возникает состояние гонки: несколько параллельных потоков используют общий ресурс без корректной синхронизации. При удачном стечении условий атакующий может вызвать повреждение памяти в куче, а затем — добиться выполнения произвольного кода с правами процесса веб-сервера.
Это не очередная проблема, которая требует учётную запись администратора, локальный доступ или экзотическую цепочку из пяти багов. В описанном сценарии достаточно сетевого доступа к серверу и включённого HTTP/2. Именно сочетание удалённой эксплуатации, отсутствия аутентификации и потенциального RCE делает инцидент особенно неприятным для хостингов, корпоративных порталов, API-шлюзов и продуктов, где Apache смотрит в публичный интернет.
Уязвимы Apache HTTP Server 2.4.55–2.4.70, а также самостоятельные версии mod_h2 2.0.8–2.0.42. Важная оговорка: HTTP/2 в Apache по умолчанию выключен. Это снижает фактический охват, но не повод выдыхать: многие современные конфигурации включают протокол ради производительности, работы браузеров и совместимости с балансировщиками.
По телеметрии облачной компании Wiz, уязвимые ресурсы есть в 64% обследованных облачных окружений, а примерно половина таких случаев доступна извне. Эти цифры нельзя буквально переносить на весь интернет: они не учитывают, активирован ли HTTP/2 на конкретном сервере. Но для приоритизации патча статистики достаточно — сначала стоит проверить внешние Apache-инстансы, затем внутренние сервисы и тестовые контуры, которые нередко живут дольше, чем предполагают их владельцы.
Исследователи watchTowr сформулировали практический совет без лишней дипломатии: установить обновление немедленно либо отключить h2, пока обновление невозможно. Второй вариант годится как временная мера, особенно если пакетная политика, регресс-тесты или зависимые модули не дают быстро обновить сервер. Отключение HTTP/2 может повлиять на производительность и поведение части клиентов, поэтому изменение нужно фиксировать и планировать обратное включение уже после установки исправленной версии.
Для DevOps- и SRE-команд минимальный план выглядит так: инвентаризировать версии Apache и mod_h2, определить, включён ли HTTP/2, выделить публичные узлы, обновить их в первую очередь и проверить перезапуск процессов. После патча полезно просмотреть журналы на аномальные HTTP/2-запросы и необычную активность от имени пользователя, под которым работает веб-сервер. Сам патч не отменяет расследование, если сервер долго был доступен в уязвимой конфигурации.
Риск для бизнеса зависит от прав процесса Apache и окружения вокруг него. На одном сервере компрометация может ограничиться веб-контейнером; на другом — дать доступ к ключам, переменным окружения, исходникам, внутренним API или данным, доступным приложению. Поэтому уязвимость Apache HTTP Server стоит рассматривать не только как задачу обновления пакета, но и как повод проверить принцип наименьших привилегий, изоляцию сервисов и секреты, доступные веб-процессу.
В том же релизе Apache исправила ещё две ошибки: CVE-2026-106023, вызывающую разыменование нулевого указателя в mod_md, и CVE-2026-109163 — низкоприоритетную проблему перезаписи данных в mod_vhost_alias. Они не меняют главный приоритет: CVE-2026-119618 должна попасть в ближайшее окно экстренных изменений.
Публичных атак и готовых эксплойтов для этой ошибки на момент публикации не известно, но для критических RCE в популярных веб-серверах это обычно лишь фора защитникам. После раскрытия деталей исследователи и злоумышленники начинают разбирать патч параллельно; скорость обновления в ближайшие дни будет важнее красивого отчёта о рисках в следующем квартале.
